As organizações enfrentam vários desafios de segurança cibernética, como ataques cibernéticos e violações de segurança contínuas que comprometem a integridade, confidencialidade e disponibilidade de seus ativos digitais. Por isso, é crucial que as organizações adotem uma atitude proativa e vigilante para garantir a continuidade e segurança de suas operações no ciberespaço. Desta forma, a norma ISO 27032:2023 Cybersecurity– Guidelines for Internet Security intervém e sua atualização será abordada neste artigo.
Desafios da segurança cibernética: um guia para a segurança digital
No contexto atual, onde a segurança digital é uma prioridade fundamental, está envolvida a ISO 27032:2023 Cibersegurança – Diretrizes para Segurança na Internet, que se destaca como um guia para enfrentar os desafios nesta área. Esta norma se concentra na relação entre segurança na Internet, segurança na web, segurança de rede e segurança cibernética em geral.
O que é a ISO 27032:2023?
A nova versão desta norma, sucessora da última atualização feita há 12 anos, amplia os termos e princípios relacionados à segurança cibernética e segurança na Internet. Desde a definição de funções e responsabilidades até o gerenciamento de riscos e a resposta a incidentes cibernéticos. O regulamento destaca a importância da colaboração entre todas as partes envolvidas. Além disso, enfatiza-se a necessidade de alinhar as práticas de segurança com as últimas tendências e tecnologias emergentes, como inteligência artificial (IA) e Internet das Coisas (IoT).
A norma promove a adoção e implementação de tecnologias avançadas, ferramentas de segurança e políticas eficazes, todas apoiadas por uma abordagem proativa de treinamento e conscientização da equipe. Juntas, essas medidas e controles ajudam as organizações a fortalecer suas defesas e a se prepararem melhor para proteger seus ativos digitais.
Áreas de Foco da ISO 27032:2023
- Problemas de segurança na Internet:
• Aborda ataques de engenharia social.
• Mitigação de ataques de dia zero.
• Proteja-se contra violações de privacidade.
• Combater hackers e proliferação de malware. - Controles:
• Preparação para ataques.
• Prevenção de ataques.
• Detecção e monitoramento de ataques.
• Resposta a ataques. - Boas práticas:
• Implementar boas práticas de segurança na Internet para melhorar a resiliência e a eficácia dentro das organizações.
Mapeamento entre controles para segurança na Internet
A norma foi reestruturada, para melhorar sua compressão, incluindo um mapeamento entre os controles ISO 27032:2023 e ISO/IEC 27002:2022 que é apresentado abaixo na tabela abaixo:
| ISO/IEC 27032:2023 | ISO/IEC 27002:2022 |
|---|---|
| 9.2.2 Políticas de segurança na Internet | 5.1 Políticas de segurança da informação 5.4 Responsabilidades da direção |
| 9.2.3 Controle de acesso | 5.15 Controle de acesso 5.16 Gestão de identidade 5.18 Direitos de acesso 8.2 Direitos de acesso privilegiado 8.18 Uso de programas utilitários privilegiados |
| 9.2.4 Educação, conscientização e treinamento | 6.3 Conscientização, educação e treinamento em segurança da informação |
| 9.2.5 Gestão de incidentes de segurança | 5.7 Inteligência de ameaças 5.24 Planejamento e preparação da gestão de incidentes de segurança da informação 5.25 Avaliação e decisão sobre eventos de segurança da informação 5.26 Resposta a incidentes de segurança da informação 5.27 Aprendizado com incidentes de segurança da informação 5.28 Coleta de evidências 6.8 Relato de eventos de segurança da informação |
| 9.2.6 Gestão de ativos | 5.9 Inventário de informações e outros ativos associados 5.10 Uso aceitável de informações e outros ativos associados 5.11 Devolução de ativos 5.12 Classificação das informações |
| 9.2.7 Gestão de fornecedores | 5.19 Segurança da informação nas relações com fornecedores 5.20 Abordagem da segurança da informação nos contratos com fornecedores 5.21 Gestão da segurança da informação na cadeia de fornecimento de TIC 5.22 Monitoramento, análise crítica e gestão de mudanças dos serviços de fornecedores 5.23 Segurança da informação para uso de serviços em nuvem |
| 9.2.8 Continuidade de negócios pela Internet | 5.29 Segurança da informação durante a disrupção 5.30 Prontidão de TIC para continuidade de negócios 8.13 Backup das informações 8.14 Redundância dos recursos de tratamento de informações |
| 9.2.9 Proteção da privacidade na Internet | 5.34 Privacidade e proteção de DP 8.11 Mascaramento de dados |
| 9.2.10 Gestão de vulnerabilidades | 8.8 Gestão de vulnerabilidades técnicas 8.9 Gestão de configuração 8.19 Instalação de software nos sistemas operacionais |
| 9.2.11 Gestão de redes | 8.16 Atividades de monitoramento 8.20 Segurança de redes 8.21 Segurança dos serviços de rede 8.22 Segregação de redes |
| 9.2.12 Proteção contra malware | 8.7 Proteção contra malware |
| 9.2.13 Gestão de mudanças | 8.32 Gestão de mudanças |
| 9.2.14 Identificação da legislação aplicável e dos requisitos de conformidade | 5.28 Coleta de evidências 5.31 Requisitos legais, estatutários, regulamentares e contratuais 5.33 Proteção de registros |
| 9.2.15 Uso de criptografia | 8.24 Uso de criptografia |
| 9.2.16 Segurança de aplicações voltadas para a Internet | 8.23 Filtragem da web 8.24 Uso de criptografia 8.25 Ciclo de vida de desenvolvimento seguro 8.26 Requisitos de segurança da aplicação 8.27 Princípios de arquitetura e engenharia de sistemas seguros 8.28 Codificação segura 8.29 Testes de segurança em desenvolvimento e aceitação |
| 9.2.17 Gestão de dispositivos endpoint | 8.1 Dispositivos endpoint do usuário 8.9 Gestão de configuração |
| 9.2.18 Monitoramento | 8.15 Registros de log 8.16 Atividades de monitoramento |
Em conclusão, a ISO 27032:2023 desempenha um papel fundamental no fortalecimento da segurança na internet, fornecendo diretrizes claras e atualizadas, tornando-se uma ferramenta inestimável para as organizações.
